이란 공습 뒤 핵티비스트 60여 그룹 결집: AI 정찰이 노리는 미국 내 노출 산업제어시스템 4만 개

무슨 일이 일어났나

2026년 2월 28일 미국과 이스라엘이 이란을 공습한 뒤, 이란을 지지하는 핵티비스트 그룹들이 텔레그램에서 잇따라 움직였습니다. CloudSEK는 공습 몇 시간 만에 60개가 넘는 그룹이 활동을 시작했다고 썼습니다. Unit 42도 3월 2일 기준 활동 중인 그룹이 60개에 이른다는 추정을 인용했습니다.

Radware는 2월 28일부터 3월 2일까지 사흘 동안 디도스 공격 주장 149건을 집계했습니다. 대상은 16개국 110개 조직이었고, 정부 기관이 가장 많았습니다. 이 숫자는 텔레그램에 올라온 주장을 센 것이라 실제 피해 규모와는 다릅니다.

CloudSEK가 이 사건에서 주목한 것은 산업제어시스템(ICS/SCADA)입니다. Censys의 2024년 조사에 따르면 미국에만 인터넷에 그대로 노출된 ICS 장비가 4만 개가 넘습니다. 그중 절반 이상은 건물 제어·자동화 장비이고, 산업 설비를 직접 제어하는 장비는 약 1만 8천 개입니다. CloudSEK는 AI 도구가 이런 장비를 찾는 수고를 크게 줄였다고 경고했습니다.

항목	수치	출처
활동 중인 핵티비스트 그룹	약 60개	Unit 42, CloudSEK
미국 내 인터넷 노출 ICS	40,000개 이상	Censys(2024)
사흘간 디도스 공격 주장	149건	Radware
대상 국가	16개국	Radware
대상 조직	110개	Radware

FAD Team의 SCADA 접근 주장

Unit 42는 FAD Team(Fatimiyoun Cyber Team)을 와이퍼 악성코드와 데이터 파괴에 집중하는 친정권 그룹으로 소개했습니다. 와이퍼는 데이터를 복구할 수 없게 지우는 악성코드입니다.

이 그룹은 텔레그램에서 이스라엘과 다른 나라의 SCADA/PLC 시스템 여러 곳에 무단으로 접근했다고 주장했습니다. 이스라엘 보안 서비스 회사의 장비 24대 이상에 연결된 제어 시스템에 접근했다는 주장도 냈습니다.

다만 이 장비들에 와이퍼를 실행했다는 내용은 Unit 42 자료에 없습니다. 접근 자체도 그룹 스스로의 주장이고, 독립적으로 확인된 피해는 공개되지 않았습니다.

AI가 바꾼 것: 정찰 단계

CloudSEK의 요지는 'AI가 새로운 공격 능력을 만든 게 아니라 조사 단계를 없앴다'는 것입니다. 인터넷에 노출된 장비를 기본 비밀번호로 여는 공격에는 PLC 동작 원리를 알 필요가 없습니다. 장비가 어디 있는지, 어떤 비밀번호를 넣을지만 알면 됩니다.

근거로 든 사례는 두 가지입니다.

CyberAv3ngers의 ChatGPT 사용: OpenAI는 2024년 10월 보고서에서 IRGC 연계 그룹 CyberAv3ngers의 계정을 막았다고 밝혔습니다. 이들은 여러 PLC의 기본 아이디·비밀번호 조합, 인터넷에 연결될 수 있는 산업 프로토콜과 포트 목록을 물었습니다. OpenAI는 이 사용이 공개 자료로 얻을 수 없는 새 능력을 주지는 않았다고 평가했습니다.
CloudSEK의 재현 실험: 연구원이 LLM에 미국 내 노출 ICS를 찾는 Shodan 검색어를 만들게 하자, 실제로 접속 가능한 산업 장비가 나왔습니다. CloudSEK는 의도만 있으면 5분 안에 기본 비밀번호가 알려진 장비 목록을 만들 수 있다고 썼습니다.

기본 비밀번호 하나로 열린 수도 시설

2023년 11월, CyberAv3ngers는 미국 펜실베이니아주 Aliquippa 수도 당국의 PLC를 장악했습니다. CISA는 이 그룹이 인터넷에 노출된 Unitronics PLC 가운데 기본 비밀번호를 그대로 쓰거나 비밀번호가 아예 없는 장비를 뚫었을 가능성이 크다고 밝혔습니다. CloudSEK에 따르면 Unitronics의 기본 비밀번호는 제조사 설명서에도 나오는 '1111'이었습니다.

이 공격에는 AI가 필요 없었습니다. CloudSEK가 걱정하는 것은 AI가 같은 수법을 더 많은 사람이, 더 많은 장비에 한꺼번에 쓸 수 있게 만든다는 점입니다.

산업시설 보안 대응법

CISA 권고와 CloudSEK 제안을 바탕으로 정리한 조치입니다.

ICS/SCADA를 인터넷에서 분리: PLC와 HMI 관리 화면이 외부 IP에서 바로 열리지 않게 합니다. 원격 접근이 꼭 필요하면 VPN과 다중인증(MFA)을 앞에 둡니다.
기본 자격증명 즉시 변경: 모든 SCADA/PLC/HMI 장비의 출고 시 비밀번호를 설치 전에 바꿉니다.
네트워크 세그멘테이션: OT(운영 기술) 네트워크와 IT 네트워크를 나누고, 방화벽으로 불필요한 통신을 막습니다.
산업 프로토콜 모니터링: Modbus, DNP3, OPC UA 같은 산업 프로토콜의 비정상 트래픽을 감시합니다.
CISA/KISA 권고 확인: 미국 CISA와 한국 KISA가 내는 ICS 보안 권고문을 정기적으로 확인하고 해당 패치를 적용합니다.
수동 운전 전환 훈련: SCADA가 공격당했을 때 수동 운전으로 바꾸는 절차를 마련하고 정기적으로 훈련합니다.

참고